Ho aggiornato il contenuto della pagina il 7 Settembre 2026
Quante password utilizziamo ogni giorno?
Email, social network, home banking, WordPress, hosting, PEC, servizi cloud, pannelli amministrativi, e-commerce, applicazioni aziendali.
A queste dobbiamo aggiungere PIN, codici, credenziali FTP, accessi ai server e informazioni riservate.
Il problema è che ricordare decine di password differenti è praticamente impossibile.
La conseguenza è prevedibile: molte persone finiscono per utilizzare la stessa password su più servizi, creare password troppo semplici oppure conservarle in file di testo, fogli Excel, email e appunti.
È esattamente quello che bisognerebbe evitare.
Una soluzione molto più efficace consiste nell’utilizzare un password manager, cioè un programma progettato specificamente per conservare in modo protetto password e altre informazioni riservate.
Uno dei programmi che utilizzo e considero particolarmente interessante è KeePass.
KeePass permette di conservare tutte le credenziali all’interno di un database cifrato, proteggendole attraverso una password principale che diventa, di fatto, quella veramente importante da ricordare.
Perché abbiamo bisogno di un password manager
Uno degli errori più pericolosi nella gestione delle password è il riutilizzo.
Immaginiamo di utilizzare la stessa password per:
- email;
- Facebook;
- WordPress;
- e-commerce;
- un vecchio forum;
- un servizio online poco importante.
Se uno solo di questi servizi subisce una violazione e la password viene compromessa, un attaccante può provare la stessa combinazione di email e password sugli altri servizi.
Questo tipo di attacco viene comunemente chiamato credential stuffing.
Le indicazioni NIST sulla sicurezza delle identità digitali sottolineano proprio l’importanza di utilizzare password differenti per i diversi servizi e riconoscono nei password manager uno strumento utile per generare e conservare credenziali uniche e robuste.
Il problema quindi non è semplicemente creare una password difficile.
Bisogna riuscire ad avere:
una password diversa per ogni servizio.
Ed è qui che diventa praticamente indispensabile un gestore di password.
Cos’è KeePass
KeePass è un password manager open source.
Il suo funzionamento è relativamente semplice.
Le nostre password non vengono conservate in un normale file leggibile, ma all’interno di un database cifrato.
Nelle versioni KeePass 2.x il database utilizza normalmente l’estensione:
.kdbxPossiamo quindi avere un file come:
Password-Felice.kdbxAll’interno possiamo memorizzare centinaia o migliaia di credenziali organizzandole in cartelle e gruppi.
La documentazione ufficiale di KeePass conferma che il database è costituito da un singolo file e può contenere gruppi, password, URL, note, campi personalizzati e altre informazioni.
Il vantaggio fondamentale: ricordare una sola password
L’idea alla base di KeePass è semplice.
Invece di ricordare:
Password Facebook
Password Instagram
Password Gmail
Password WordPress
Password hosting
Password server
Password banca
...dobbiamo ricordare principalmente una Master Password, cioè la password principale utilizzata per aprire il database KeePass.
Quella password deve però essere particolarmente robusta.
La documentazione ufficiale avverte chiaramente che, se si perde la Master Password o uno degli altri componenti utilizzati per proteggere il database, non esiste una password universale o una backdoor per recuperare i dati.
Questo è contemporaneamente un vantaggio e una responsabilità.
Come scegliere la Master Password di KeePass
La Master Password è la chiave del nostro archivio.
Non utilizzerei quindi:
Felice1975oppure:
password123e nemmeno la stessa password utilizzata per l’email.
È molto meglio utilizzare una passphrase lunga, cioè una sequenza sufficientemente lunga che possiamo ricordare ma che non sia facilmente prevedibile.
NIST raccomanda proprio di privilegiare la lunghezza delle password e, per i password manager, suggerisce una passphrase principale lunga e ben protetta.
La Master Password deve inoltre essere:
- unica;
- mai utilizzata altrove;
- sufficientemente lunga;
- memorizzabile;
- non basata su informazioni facilmente ricavabili dai social.
Non avrebbe molto senso proteggere 200 password fortissime con una Master Password debole.
Come installare e iniziare a utilizzare KeePass
Una volta installato KeePass, il primo passaggio consiste nel creare il database.
Dal programma possiamo scegliere:
File → New
KeePass chiederà dove salvare il nuovo database.
Possiamo ad esempio chiamarlo:
password.kdbxSuccessivamente viene richiesta la chiave con cui proteggere il database.
Per una configurazione semplice possiamo utilizzare una Master Password.
KeePass supporta anche altri componenti, come un key file, che può essere utilizzato insieme alla password principale.
Per chi inizia, però, è importante prima capire perfettamente il funzionamento del database.
Come inserire una password in KeePass
Dopo aver aperto il database possiamo creare una nuova voce.
Ogni voce può contenere informazioni come:
Titolo
Ad esempio:
WordPress FeliceBalsamo.itUsername
nomeutentePassword
••••••••••••••••URL
https://www.esempio.it/wp-admin/Note
dove possiamo aggiungere eventuali informazioni utili.
La struttura diventa quindi:
Titolo: WordPress sito cliente
Username: amministratore
Password: ***************
URL: https://www.esempio.it/wp-admin/In questo modo non dobbiamo più ricordare materialmente quella password.
Dobbiamo soltanto riuscire ad aprire KeePass.
Organizzare le password in cartelle
Quando le credenziali iniziano ad aumentare è importante organizzarle.
KeePass permette di utilizzare gruppi.
Per esempio potrei creare:
Email
Social
WordPress
Clienti
Server
Hosting
E-commerce
Servizi cloud
PersonaliAll’interno di Clienti potrei creare ulteriori sottogruppi:
Cliente A
Cliente B
Cliente Ce conservare per ciascuno:
- WordPress;
- hosting;
- database;
- FTP;
- servizi esterni.
Per chi lavora nel settore informatico, una struttura ordinata diventa fondamentale.
Avere 500 password in un unico elenco senza organizzazione significa aver risolto soltanto metà del problema.
Come conservare un PIN in KeePass
KeePass non deve essere utilizzato esclusivamente per le password.
Possiamo conservarvi anche:
- PIN;
- codici cliente;
- codici di recupero;
- informazioni riservate;
- codici software;
- credenziali tecniche.
Per un PIN particolarmente sensibile preferisco non scriverlo semplicemente in una normale nota.
In KeePass 2.x possiamo creare un campo personalizzato.
Apriamo la voce e utilizziamo la sezione:
Advanced → Custom String Fields
Possiamo creare ad esempio:
Nome campo: PIN
Valore: 123456KeePass permette inoltre di attivare l’opzione:
Protect value in process memory
per i campi personalizzati particolarmente sensibili. I custom field vengono comunque memorizzati in forma cifrata all’interno del database; la protezione aggiuntiva riguarda il valore quando viene gestito nella memoria del processo.
Questo sistema è utile anche per:
PIN
Seconda password
Codice cliente
Codice dispositivo
Codice di sicurezzaGenerare password sicure direttamente con KeePass
Un altro enorme vantaggio è che non dobbiamo inventare noi le password.
KeePass possiede un generatore integrato.
Quando creo un nuovo account posso quindi chiedergli di generare qualcosa di completamente casuale.
Non ho bisogno di ricordarla.
KeePass lo farà al posto mio.
La documentazione ufficiale consiglia la generazione casuale basata su un insieme di caratteri come metodo standard del generatore.
Questo permette finalmente di utilizzare una password diversa per ogni sito.
Possiamo avere:
Sito A → password completamente casuale A
Sito B → password completamente casuale B
Sito C → password completamente casuale CSe il sito A viene compromesso, le credenziali dei siti B e C rimangono differenti.
Non bisogna conoscere le proprie password
Può sembrare una frase assurda, ma è uno dei cambiamenti mentali più importanti.
Per anni siamo stati abituati a pensare:
devo scegliere una password che riesco a ricordare.
Con un password manager il problema cambia.
La maggior parte delle password non deve essere ricordata.
Deve essere generata casualmente e conservata correttamente.
L’unica credenziale che dobbiamo realmente conoscere molto bene è quella che protegge il password manager.
Questo consente di smettere finalmente di creare variazioni come:
Mario2024!
Mario2025!
Mario2026!che sembrano password diverse ma seguono uno schema estremamente prevedibile.
Come leggere e utilizzare una password salvata
Una volta trovata la voce possiamo utilizzare la password in diversi modi.
KeePass permette, tra le altre possibilità, di:
- copiare lo username;
- copiare la password;
- aprire l’URL;
- trascinare determinati campi;
- utilizzare Auto-Type.
La documentazione ufficiale indica che facendo doppio clic sui relativi campi è possibile copiare username o password negli appunti, mentre facendo doppio clic sull’URL si può aprire il sito associato.
Questo significa che spesso non abbiamo neppure bisogno di visualizzare materialmente la password.
La copiamo e la utilizziamo.
Auto-Type: KeePass può inserire automaticamente le credenziali
Una funzione molto interessante è Auto-Type.
KeePass può simulare la digitazione di:
username
TAB
password
ENTERLa sequenza predefinita è infatti:
{USERNAME}{TAB}{PASSWORD}{ENTER}In determinate configurazioni basta avere aperta la finestra di login e richiamare Auto-Type perché KeePass compili automaticamente le credenziali.
È particolarmente comodo per applicazioni desktop e finestre di autenticazione.
Va però ricordato che l’Auto-Type standard non costituisce una protezione assoluta contro malware o keylogger presenti sul computer; la sicurezza del password manager non rende magicamente sicuro un dispositivo già compromesso. La stessa documentazione KeePass segnala questa limitazione.
Dove conservare il file KDBX?
Questa è una domanda importante.
Il database KeePass è un file.
Possiamo conservarlo:
- sul computer;
- su un’unità cifrata;
- su un server;
- in uno storage cloud;
- in una cartella sincronizzata.
KeePass è progettato in modo che i dati vengano memorizzati nel database cifrato.
La documentazione ufficiale afferma che, con una Master Key robusta, il file cifrato può essere conservato anche su storage condivisi o cloud; i dati vengono salvati e trasferiti in forma cifrata.
Questo non significa però che possiamo dimenticarci della sicurezza del computer e dell’account cloud.
Io applico sempre il principio:
cifrare il database + proteggere il dispositivo + proteggere l’account dove viene conservato.
KeePass e cloud: una soluzione pratica
Una configurazione pratica consiste nel mantenere il database .kdbx all’interno di una cartella sincronizzata.
Ad esempio:
Cloud
└── KeePass
└── password.kdbxIn questo modo è possibile avere una copia sincronizzata tra dispositivi.
La documentazione KeePass suggerisce, quando possibile, di utilizzare l’integrazione locale del filesystem fornita dai servizi cloud piuttosto che protocolli più complessi.
Naturalmente bisogna gestire con attenzione eventuali modifiche contemporanee dello stesso database da più dispositivi.
Fare sempre un backup del database
Il database KeePass può contenere le chiavi di accesso a praticamente tutta la nostra vita digitale.
Perderlo sarebbe un problema serio.
Per questo non terrei mai una sola copia.
Utilizzerei almeno:
Copia principale
+
Backup separatoe possibilmente una strategia con versioni precedenti.
La documentazione KeePass raccomanda espressamente backup regolari del database, preferendoli al tentativo successivo di riparare un file danneggiato.
Un backup del database rimane cifrato.
Questo significa che conservare una seconda copia del .kdbx non equivale a salvare un file TXT con tutte le password.
Attenzione: il backup della password principale è un’altra cosa
C’è però un problema.
Possiamo avere dieci copie perfette del database.
Se dimentichiamo la Master Password, quelle dieci copie resteranno dieci file cifrati che non possiamo aprire.
KeePass chiarisce che non esiste una backdoor per recuperare una Master Key dimenticata.
Bisogna quindi progettare con attenzione anche la gestione dell’emergenza.
In un contesto personale o aziendale può avere senso predisporre una procedura sicura di recupero accessibile soltanto alle persone autorizzate, evitando però di lasciare la Master Password accanto al database.
Master Password e Key File
Per aumentare ulteriormente la protezione KeePass permette di utilizzare anche un key file.
In questo caso possiamo richiedere:
Master Password
+
Key Fileper aprire il database.
Un eventuale attaccante dovrebbe quindi possedere entrambi.
È una protezione interessante, ma richiede maggiore attenzione.
Se perdiamo il key file, perdiamo l’accesso al database allo stesso modo in cui lo perderemmo dimenticando la Master Password.
Quindi più sicurezza significa anche più responsabilità nella gestione delle chiavi.
KeePass non sostituisce l’autenticazione a due fattori
Un password manager risolve molto bene il problema della gestione delle password.
Non significa però che dobbiamo rinunciare alla MFA o autenticazione a più fattori.
Quando disponibile, continuo ad abilitarla soprattutto per:
- email;
- servizi finanziari;
- social;
- hosting;
- server;
- account amministrativi;
- servizi cloud.
NIST raccomanda l’utilizzo dell’autenticazione multifattore quando disponibile come ulteriore livello di protezione degli account.
Una password unica e casuale più un secondo fattore rappresentano una protezione molto migliore rispetto alla sola password.
Password manager e phishing
Anche la migliore password del mondo non serve se siamo noi stessi a consegnarla a un sito falso.
Un password manager non elimina quindi la necessità di verificare:
- indirizzo del sito;
- dominio;
- certificato HTTPS;
- richieste insolite;
- email sospette;
- schermate di login anomale.
NIST ricorda che una password lunga e robusta non può proteggerci se veniamo convinti con l’inganno a comunicarla direttamente a un attaccante.
La sicurezza non è mai un singolo prodotto.
È un insieme di comportamenti e strumenti.
Cosa non fare con le password
Ci sono alcune abitudini che eviterei completamente.
Non salvarle in un file TXT
Un file:
password.txtsul desktop è probabilmente uno dei posti peggiori.
Non utilizzare sempre la stessa password
Una violazione su un singolo sito può compromettere tutti gli altri account.
Non inviare password attraverso email o chat senza motivo
Una credenziale dovrebbe essere condivisa solo quando necessario e attraverso procedure adeguate.
Non conservare tutte le password in un foglio Excel non protetto
Avere un file ordinato non significa avere un file sicuro.
Non utilizzare informazioni personali facilmente prevedibili
Date di nascita, nomi dei figli, squadre di calcio o informazioni pubblicate sui social non sono una grande base per costruire una password.
Non utilizzare la Master Password di KeePass altrove
Quella password deve essere esclusivamente dedicata al database.
Un possibile schema organizzativo di KeePass
Per chi utilizza molte credenziali propongo una struttura del genere:
PERSONALI
├── Email
├── Social
├── Servizi
└── Acquisti
LAVORO
├── Email
├── Server
├── Hosting
├── Software
└── Cloud
CLIENTI
├── Cliente 1
│ ├── WordPress
│ ├── Hosting
│ └── Servizi
│
├── Cliente 2
│ ├── WordPress
│ ├── Hosting
│ └── Servizi
│
└── Cliente 3
PIN E CODICI
├── Dispositivi
├── Codici
└── RecuperoNon esiste una struttura universale.
La cosa importante è riuscire a trovare rapidamente una credenziale senza creare duplicazioni.
Perché preferisco un password manager alle password memorizzate nel browser
I browser moderni dispongono ormai di buoni sistemi per la gestione delle credenziali e per molte persone rappresentano una soluzione molto comoda.
KeePass ha però un approccio differente.
Il database è un file direttamente controllato dall’utente.
Posso decidere:
- dove conservarlo;
- come copiarlo;
- come effettuare il backup;
- come organizzarlo;
- se sincronizzarlo;
- quale Master Key utilizzare.
Per chi gestisce anche server, database, FTP, PIN, codici e credenziali che non appartengono necessariamente a siti web, un database KeePass può diventare un archivio centralizzato particolarmente comodo.
KeePass è sicuro?
La domanda corretta dovrebbe essere:
KeePass viene utilizzato in modo sicuro?
Possiamo avere un database perfettamente cifrato e poi:
- scegliere una Master Password debole;
- lasciare il computer senza password;
- installare software poco affidabile;
- perdere il backup;
- dimenticare la Master Password;
- copiare credenziali ovunque;
- aprire database ricevuti da fonti sconosciute.
Il software è soltanto una parte della sicurezza.
La documentazione KeePass stessa mette in guardia dall’apertura e dall’utilizzo indiscriminato di database o configurazioni provenienti da soggetti non affidabili.
La mia regola: una password diversa per ogni servizio
Alla fine tutto può essere riassunto in una regola molto semplice.
Per ogni servizio importante utilizzo:
una password lunga, casuale e diversa dalle altre.
KeePass la genera.
KeePass la conserva.
Io non devo ricordarla.
Devo ricordare e proteggere soprattutto la Master Password.
È una soluzione enormemente più gestibile rispetto al tentativo di memorizzare decine di password o, peggio ancora, utilizzare sempre la stessa.
Conclusioni: password e PIN devono essere gestiti, non ricordati
Con il numero di servizi digitali che utilizziamo oggi, affidare tutta la sicurezza alla nostra memoria non è più realistico.
Un password manager come KeePass permette di trasformare decine o centinaia di credenziali in un archivio organizzato e cifrato.
Possiamo conservare:
- password;
- username;
- PIN;
- URL;
- credenziali tecniche;
- codici;
- informazioni riservate.
Possiamo inoltre generare password differenti per ogni servizio e ridurre drasticamente la tentazione di riutilizzare sempre le stesse credenziali.
La regola fondamentale rimane però una:
il database contiene le chiavi della nostra vita digitale, quindi la Master Password, il dispositivo e i backup devono essere protetti con la stessa attenzione che dedicheremmo alle chiavi di casa.
Forse anche un po’ di più.
La serratura di casa, almeno, non apre contemporaneamente Gmail, WordPress, il server e l’home banking.
Note sulla modalità di scrittura del post
Questo articolo è stato scritto senza alcun aiuto dai sistemi di intelligenza artificiale, quali OpenAI, ChatGPT e simili.